IMMEDIATAMENTE ESEGUIBILE Deliberazione n. 184 del 10/09/2012 VERBALE DI DELIBERAZIONE DELLA GIUNTA COMUNALE OGGETTO APPROVAZIONE SCHEMA DI CONVENZIONE PER LO SCAMBIO DI DATI INFORMATICI TRA COMUNE DI ORZINUOVI E COMUNE DI MANERBIO. L anno DUEMILADODICI il giorno DIECI del mese di SETTEMBRE alle ore 17,30 nella Sala delle adunanze previa l osservanza delle formalità prescritte, vennero convocati a seduta i componenti della Giunta Comunale. COGNOME E NOME CARICA PRESENTE ASSENTE RATTI ANDREA Sindaco X COMINOTTI PAOLA Assessore X SCALVENZI MICHELE Assessore X AMICO FRANCESCO Assessore X BATTAGLIA ALESSANDRO Assessore X DE SANTIS ROCCO Assessore X SALERA MARIA TERESA Assessore X Partecipa alla seduta il Segretario Generale Filippo Raco che provvede alla redazione del presente verbale. Riscontrata la validità della adunanza, il Sindaco Andrea Ratti - assume la presidenza, dichiara aperta la seduta ed invita la Giunta a deliberare sull argomento sopra indicato.
N. 184 del 10/09/2012 OGGETTO: APPROVAZIONE SCHEMA DI CONVENZIONE PER LO SCAMBIO DI DATI INFORMATICI TRA COMUNE DI ORZINUOVI E COMUNE DI MANERBIO. LA GIUNTA COMUNALE RICHIAMATO il D.P.R. n. 445/2000 Testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa e ss.mm.ii., ed in particolare l art. 43, nei seguenti commi: Comma 1, che testualmente recita: Le amministrazioni pubbliche e i gestori di pubblici servizi sono tenuti ad acquisire d ufficio le informazioni d oggetto delle dichiarazioni sostitutive di cui agli articoli 46 e 47, nonché tutti i dati e i documenti che siano in possesso delle pubbliche amministrazioni, previa indicazione, da parte dell interessato, degli elementi indispensabili per il reperimento delle informazioni o dei dati richiesti, ovvero ad accettare la dichiarazione sostitutiva prodotta dall interessato ; Comma 2, che testualmente recita: Fermo restando il divieto di accesso a dati diversi da quelli di cui è necessari acquisire la certezza o verificare l esattezza, si considera operata per finalità di rilevante interesse pubblico ai fini del decreto legislativo 11 Maggio 1999, n. 135 la consultazione diretta, da parte di una pubblica amministrazione certificante, finalizzata all accertamento d ufficio di stati, qualità e fatti ovvero al controllo sulle dichiarazioni sostitutive presentate dai cittadini. Per l accesso diretto ai propri archivi l amministrazione certificante rilascia all amministrazione procedente apposita autorizzazione in cui vengono indicati i limiti e le condizioni di accesso volti ad assicurare la riservatezza dei dati personali ai sensi della normativa vigente ; Comma 3, che testualmente recita: Quando l amministrazione procedente opera l acquisizione d ufficio ai sensi del precedente comma, può procedere anche per fax e via telematica ; Comma 4, che testualmente recita: Al fine di agevolare l acquisizione d ufficio delle informazioni e dei dati relativi a stati, qualità personali e fatti, contenuti in albi, elenchi e pubblici registri, le amministrazioni certificanti sono tenute a consentire alle amministrazioni procedenti, senza oneri, la consultazione per via telematica dei loro archivi informatici, nel rispetto della riservatezza dei dati personali. RICHIAMATO il D.lgs. n. 196/2003 Codice in materia di protezione dei dati personali e successive modificazioni, ed in particolare l art.25, comma 2, il quale dispone che [ ] è fatta salva la comunicazione e la diffusione di dati richiesti, in conformità alla legge, delle forze di polizia, dall autorità giudiziaria, da organismi di informazioni e sicurezza o da altri soggetti pubblici ai sensi dell art. 58, comma 2, per finalità di difesa o di sicurezza dello Stato o di prevenzione., accertamento o repressione di reati ; RICHIAMATO il D.lgs. 82/2005 Codice dell Amministrazione digitale e successive modificazioni, ed in particolare l art. 50 Disponibilità dei dati delle pubbliche amministrazioni, che al comma 2, prevede che qualunque dato trattato da una pubblica amministrazione, con l esclusione di cui all art. 2, comma 6, salvo i casi previsti dall art. 24 della Legge 7 agosto 1990 n. 241, e nel rispetto della normativa di protezione dei dati personali, è reso accessibile e fruibile alle altre amministrazioni quando l utilizzazione del dato si necessaria per lo svolgimento dei compiti istituzionali dell amministrazione richiedente, senza oneri a carico di quest ultima, salvo per la prestazione di elaborazioni aggiuntive; è fatto salvo oneri a carico di quest ultima, salvo per la prestazione di elaborazione aggiuntive; è fatto salvo il disposto dell art. 43, comma 4, del Decreto del Presidente della Repubblica 28 Dicembre 2000, n. 445 ;
RICHIAMATA la Legge n. 241/90 Nuove norme in materia di procedimento amministrativo e di diritto di accesso ai documenti amministrativi e successive modificazioni, ed in particolare l art. 15 Accordi tra pubbliche amministrazione che, al comma 1, sancisce : Anche al di fuori delle ipotesi previste dall art. 14 (Conferenza di servizi), le amministrazioni pubbliche possono sempre concludere tra loro accordi per disciplinare lo svolgimento in collaborazione di attività di interesse comune. RICHIAMATO l art. 58, comma 2, del C.A.D. il quale prevede che Ai sensi dell articolo 50, comma 2, nonché al fine di agevolare l acquisizione d ufficio ed il controllo sulle dichiarazioni sostitutive riguardanti informazioni e dati relativi a stati, qualità personali e fatti di cui agli articoli 46 e 47 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, le Amministrazioni titolari di banche dati accessibili per via telematica predispongono, sulla base delle linee guida redatte da DigitPA, sentito il Garante per la protezione dei dati personali, apposite convenzioni aperte all adesione di tutte le amministrazioni VISTE le Linee guida per la stesura di Convenzioni per la fruibilità di dati delle pubbliche amministrazioni pubblicate da DigitPa in data 22.04.2011; CONSIDERATO che tra il Comune di Orzinuovi (Bs) e il Comune di Manerbio (Bs), data la strategicità territoriale tra i due enti di dimensioni similari, ed entrambi punti di riferimento per i comuni confinanti e le rispettive aree di riferimento, può rivelarsi utile predisporre uno schema di Convenzione da utilizzare ogni qual volta si riveli necessario procedere a scambio di informazioni tramite strumenti informatici, anche nell ottica di una maggiore efficienza della Pubblica Amministrazione; VISTA l allegata bozza di Convenzione (comprendente anche le istruzioni per la redazione dell allegato tecnico), predisposta nell ambito dello sportello Privacy e Trasparenza, coordinato dall Associazione Comuni Bresciani, in collaborazione con diversi enti locali aderenti al progetto, e ritenuta la citata bozza meritevole di approvazione in quanto strumento efficace di gestione delle necessità di cui all oggetto; VISTO il Regolamento comunale per l organizzazione degli uffici; VISTO il Regolamento comunale di contabilità; VISTO il Regolamento comunale per i lavori, le forniture e i servizi in economia; VISTO il D. Lgs. 18.08.2000, n. 267; ACQUISITO il parere favorevole sotto il profilo della regolarità tecnica espresso dal Responsabile dell Area Servizi Generali Dott. Ottobri Stefano, ai sensi dell art. 49 del T.U.EE.LL.; Con voti favorevoli unanimi; DELIBERA 1) di approvare per le motivazioni indicate in premessa l allegato schema di Convenzione, denominato Allegato 1), il quale costituisce parte integrante e sostanziale al presente provvedimento, ivi comprese le istruzioni per la redazione dell allegato Tecnico, finalizzato a definire le modalità di scambio dati tra il Comune di Orzinuovi (Bs) e il Comune di Manerbio (Bs);
2) di demandare ai Responsabili di Area competenti per settore di riferimento dei dati di cui si deve procedere allo scambio tra gli enti in oggetto, la sottoscrizione della suddetta Convenzione; 3) di dichiarare che il presente provvedimento non comporta oneri economici a carico del corrente Bilancio di previsione; 4) di dichiarare il presente atto immediatamente eseguibile ai sensi dell art. 134 comma 4 TUELL come risultato da separata unanime votazione.
Allegato 1) alla Deliberazione della GC n. 184 del 10/09/2012 CONVENZIONE, AI SENSI DELL ART. 58 DEL CODICE DELL AMMINISTRAZIONE DIGITALE, TRA IL COMUNE DI ORZINUOVI E IL COMUNE DI MANERBIO PER LA FRUIBILITÀ DI DATI FINALIZZATA AL CONTROLLO SULLE DICHIARAZIONI SOSTITUTIVE DI CERTIFICAZIONE E DI ATTO DI NOTORIETÀ DI CUI AGLI ARTT. 46 E 47 DEL D.P.R. 445/2000 ED ALL ACQUISIZIONE DI DOCUMENTI AI SENSI DELL ART. 43, COMMA 1, DEL D.P.R. 445/2000. Premesso che: - l Amministrazione certificante (detta anche erogatore ) [ 1 ], che ha, tra i propri fini istituzionali, quello di raccogliere dati personali, anche sensibili e giudiziari, soggetti alla disciplina in materia di privacy, e che pertanto ne è, ai fini di cui al D.lgs. n. 196/2003, titolare originario di quei dati, deve rendere fruibili, mettendo a disposizione i relativi servizi di accesso, tali informazioni ad altre amministrazioni pubbliche, sulla base di apposita Convenzione, in ottemperanza a quanto previsto dall'articolo 58, comma 2, del D.lgs. 7 marzo 2005, n. 82 e successive modifiche ed integrazioni; - l Amministrazione procedente (detta anche richiedente ) [ 2 ], che ha tra i propri fini istituzionali quello del controllo dei dati relativi a stati, qualità personali e fatti di cui agli articoli 46 e 47 del D.P.R. n. 445/2000, alla stessa autodichiarati/autocertificati, nonché, ove necessario, quello dell acquisizione d ufficio di informazioni, e che potrà accedere ai dati resi disponibili, secondo le regole e le modalità definite nella presente Convenzione cui la stessa Amministrazione richiedente aderisce; Visto: - il Decreto legislativo 30 giugno 2003, n. 196 ( Codice in materia di protezione dei dati personali ) e successive modifiche ed integrazioni; - il Decreto legislativo 7 marzo 2005, n. 82 ( Codice dell Amministrazione Digitale ) e successive modifiche ed integrazioni; - [eventuali Delibere degli enti, tra cui, se vigente, Regolamento comunale su trattamento dati sensibili]; 1 Indicare la specifica amministrazione 2 Indicare la specifica amministrazione
- le seguenti norme di riferimento: o L art. 50 (Disponibilità dei dati delle pubbliche amministrazioni), comma 2, del Decreto legislativo n. 82/2005 ; o Visto il T.U. (DPR 445/2000) delle disposizioni legislative regolamentari in materia di documentazione amministrativa sulla sostituzione dei certificati, ed in particolare: art. 40, c. 1, sui certificati; art. 43, c. 1, sull accertamento d ufficio, in particolare sull acquisizione di ufficio di informazioni; art. 43, c. 3, sull accertamento d ufficio, in particolare sulle modalità di acquisizioni di dati presso altre amministrazioni; art. 43, c. 5, sull accertamento d ufficio senza oneri e da fonte certa; art. 58 (Modalità della fruibilità del dato), comma 2, d.lgs. 82/2005 (CAD) sull obbligatorietà di predisposizione di convenzioni per disciplinare le modalità di accesso; - [eventuali provvedimenti del garante]; - la richiesta del Comune di pervenuta in data con la quale tale Ente fruitore ha chiesto di aderire alla Convenzione per l accesso a dati della banca dati per lo svolgimento delle finalità di (nota: indicare la specifica finalità istituzionale); Premesso che nell ambito del testo e degli allegati alla presente Convenzione si intendono per: (GLOSSARIO) Codice Privacy : il Codice in materia di protezione dei dati personali di cui al Decreto legislativo 30 giugno 2003, n. 196; CAD : il Codice dell Amministrazione Digitale di cui al Decreto legislativo del 7 marzo 2005, n. 82, pubblicato sulla Gazzetta ufficiale n. 112 del 16 maggio 2005, a seguito della delega al Governo contenuta all articolo 10 della Legge 29 luglio 2003, n. 229 (Legge di Semplificazione 2001), e successive modificazioni; Convenzione : il presente atto convenzionale; Parti : Comune di / Comune di ; Titolare o Erogatore o Amministrazione Certificante : l amministrazione [ 3 ] che mette a disposizione servizi di accesso ai dati detenuti nei propri archivi e richiesti direttamente dalle amministrazioni procedenti ai sensi degli articoli 43 e 71 del D.P.R. 445/2 2000; 3 Indicare la specifica amministrazione
Amministrazione richiedente (o procedente ): l amministrazione [ 4 ] che, avendo ricevuto dichiarazioni sostitutive ovvero dovendo procedere agli accertamenti d'ufficio ai sensi dell'articolo 43 del D.P.R. 445/2000, accede ai dati del Comune erogatore secondo le vigenti norme di legge e le regole e le modalità previste dalla Convenzione; Responsabile della Convenzione : rappresentante giuridicamente ciascuna delle Parti, preposto alla gestione dei rapporti e delle comunicazioni tra le Parti per la gestione del documento convenzionale; Supervisore : soggetto individuato dal Responsabile della Convenzione, con cui collabora, del Comune procedente. Egli è giuridicamente preposto all individuazione degli utilizzatori, delle abilitazioni e dei profili di accesso ai dati ad essi assegnati, in relazione alle funzioni effettivamente svolte ed alla corretta applicazione delle regole di sicurezza tecnico-organizzative previste nella presente Convenzione dal Comune titolare dei dati e funge, previa designazione da parte del Titolare del trattamento ai fini privacy, da Responsabile del relativo trattamento. Il Supervisore del Comune procedente, individuato nella presente Convenzione, è preposto ad individuare i soggetti che possono accedere ai dati; Tecnico Responsabile dello scambio dati : responsabile giuridicamente preposto alla gestione dell invio dei dati al Comune di, attraverso servizi di fornitura massiva. Egli è individuato dal Supervisore con cui collabora ed è designato dal competente Responsabile di trattamento ai fini privacy. Il Tecnico Responsabile dello scambio dati, può delegare ad altra persona, per ragioni operative, il trattamento dei dati rimanendo comunque responsabile delle operazioni delegate. La delega richiede una previa designazione dal competente Responsabile di trattamento ai fini privacy; Infranet : i servizi di connettività che includono i servizi di trasporto e di interoperabilità di base, consentendo la trasmissione di dati, immagini e fonia (voce), ovvero di documenti informatici, tra diverse Amministrazioni, in base a quanto definito nell ambito del comma 1, lettera a), dell Art. 12 del D.P.C.M. 1 aprile 2008; tra il Comune di., rappresentato da ed il Comune di., rappresentato da SI CONVIENE E STIPULA QUANTO SEGUE PUNTO 1) OGGETTO, FINALITÀ, DURATA E ONERI 1. La presente Convenzione disciplina i rapporti tra il Comune di ed il Comune di., di seguito indicati come le Parti, al fine di regolare le modalità di accesso ai dati detenuti dal primo e il flusso di dati e documenti tra i due Comuni, in attuazione di quanto previsto dalla vigente normativa in materia ed in conformità ai 4 Indicare la specifica amministrazione
principi e delle disposizioni stabiliti dal Codice Privacy e dagli standard di sicurezza informatica ed in modo tale da assicurare, in modo legittimo, efficace ed efficiente, lo svolgimento delle rispettive attività istituzionali. 2. Il Comune di è autorizzato ad accedere ai dati del Comune di per lo svolgimento delle proprie funzioni istituzionali secondo le vigenti norme di legge e le regole e le modalità previste dalla presente Convenzione. In specifico (nota: indicare le informazioni oggetto del flusso, eventualmente, ove numerose, rimandando in allegato ) 3. La Convenzione avrà durata di anni a decorrere dalla data della sua stipula. Può essere rinnovata, su concorde volontà delle Parti, da manifestarsi con scambio di comunicazione tra le stesse. 4. Le Parti concordano che i servizi di fornitura e/o accesso ai dati che verranno attivati a seguito della stipula della Convenzione saranno regolati dalle modalità di gestione previste ai successivi articoli. 5. Le Parti prendono atto che: quanto riportato in Convenzione, è stato preventivamente sottoposto al parere dell Autorità Garante per la protezione dei dati personali; a seguito del parere positivo dell Autorità Garante per la protezione dei dati personali e della stipula della presente Convenzione, dovranno essere stipulati appositi Accordi di Servizio SPCoop in cui siano trasposte le condizioni tecniche previste nell allegato, alla voce "Modalità accesso/fruizione Cooperazione applicativa". 6. Ciascuna delle Parti provvede, preventivamente alla stipula, ad integrare, ove necessario, eventuali testi comunali regolamentari e si fa carico all applicazione della presente Convenzione, ex art. 58, comma 2 del CAD, senza oneri economici. PUNTO 2) FINALITÀ DEL TRATTAMENTO 1) Finalità istituzionali del trattamento da parte dell amministrazione certificante; L Amministrazione certificante svolge i trattamenti compresi nella presente Convenzione per osservare quanto previsto all art. 43, comma 4, relativamente ai dati sensibili e giudiziari 2) Finalità istituzionali del trattamento da parte dell amministrazione procedente. L Amministrazione procedente svolge il trattamento dei dati oggetto della presente Convenzione al fine di ottemperare a quanto previsto all art. 43 del DPR 445/2000. 3) Il Comune certificante, nonché Titolare del trattamento dati per tale funzione, dichiara che il trattamento è affidato al Supervisore per le finalità di gestione del servizio in oggetto; allo stesso modo il Comune procedente (nonché, per tale funzione, Titolare del trattamento dei relativi dati), attraverso il proprio Supervisore, garantisce che il trattamento avviene per le finalità di gestione del solo servizio in oggetto. 4) Il Supervisore del Comune certificante assicura che i dati da lui trasmessi siano esatti; allo stesso modo il Supervisore del Comune procedente dichiara che i dati richiesti sono pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti. PUNTO 3) MODALITÀ ACCESSO DATI
1. Tenuto conto della normativa vigente l Ente fornisce al Comune, i propri servizi di accesso standard ai dati del Servizio in oggetto limitatamente alle modalità di accesso/fruizione ed ai servizi di seguito indicati: I. consultazione on line; II. cooperazione applicativa; III. forniture massive. Le modalità di accesso/fruizione sono indicate nell allegato tecnico definito [ ]; 2. Eventuali richieste, da parte del Comune, di superamento del numero massimo di utilizzatori, indicati nell allegato devono essere di volta in volta concordate con l Ente per il tramite del Supervisore della Convenzione. 3. Tenuto conto della normativa vigente, il Comune fornisce all Ente i propri servizi di accesso ai dati limitatamente alle modalità di accesso/fruizione ed ai servizi indicati nell allegato, secondo i limiti stessi riportati in quest ultimo. PUNTO 4) MODALITÀ DEL FLUSSO ED UTILIZZAZIONE DEI DATI La presente Convenzione, finalizzata allo scambio dei dati e per le finalità di cui al precedente Punto 3), sarà regolata come segue: 1. A seguito della stipula della presente Convenzione vengono rese disponibili le prestazioni di consultazione on line, ivi compresi i trasferimenti di file collegati ai servizi di consultazione on line; 2. Le richieste di attivazione dei servizi di cooperazione applicativa di cui all articolo 4, comma 2, ii), ed i servizi di fornitura massiva di cui all articolo 4, comma 2, iii), vengono attivati su richiesta, a seguito di scambio di comunicazioni tra i Supervisori della Convenzione; 3. In caso di successive integrazioni ai servizi di cui al precedente articolo 4, le stesse potranno essere concordate tra le Parti, utilizzando il procedimento di seguito descritto, per il tramite dei rispettivi Supervisori della Convenzione: a) il Comune di richiedente inoltra alla Parte certificante apposita richiesta in cui vengono indicati il riferimento normativo che legittima la richiesta di servizi di accesso o fornitura dei dati e/o le modalità di erogazione degli stessi, in relazione alle proprie esigenze operative, con riferimento ai codici presenti a catalogo ove trattasi di servizi standard (se già catalogati); b) entro 30 giorni lavorativi dalla data di ricezione della richiesta di cui alla precedente lettera a), l Ente certificante dei dati comunicherà alla Parte richiedente l esito dell istruttoria di verifica sulla legittimità dell attivazione del servizio, il riferimento alle restrizioni ed ai codici dei servizi standard da integrare in Convenzione, nonché i tracciati, le modalità di colloquio ed i tempi in caso di forniture dati non standard; c) entro 30 giorni lavorativi dalla risposta di cui al precedente lettera b), la Parte richiedente conferma o recede dalla richiesta del servizio con formale comunicazione alla Parte certificante;
d) in caso di accordo tra le Parti la comunicazione di cui alla precedente lettera c) attesta esplicitamente che il servizio verrà erogato in attuazione della Convenzione e che le comunicazioni scambiate tra le Parti ne costituiscono parte integrante. 4. L Amministrazione certificante conserva la piena ed esclusiva proprietà delle informazioni memorizzate sulla banca dati e del sistema di ricerca, ha l esclusiva competenza di gestire, definire o modificare i sistemi di elaborazione, ricerca, rappresentazione ed organizzazione dei dati; ha altresì la facoltà di variare la base informativa in relazione alle proprie esigenze istituzionali, a quelle organizzative ed alle innovazioni tecniche relative al sistema. PUNTO 5) SOGGETTI AI FINI PRIVACY 1. Titolare del dato, ai fini privacy, per quanto riguarda la raccolta del dato e le ulteriori operazioni di archiviazione, ivi compresa la comunicazione verso l Amministrazione procedente, è l Amministrazione certificante ai sensi della presente Convenzione. La banca dati in cui i dati sono raccolti resta, pertanto, nell esclusiva disponibilità di tale soggetto pubblico. 2. Titolare del dato personale, per quanto riguarda l utilizzo del dato personale comunicato o messo a disposizione dall Amministrazione certificante, è l Amministrazione procedente ai sensi della presente Convenzione. 3. Responsabile di trattamento per conto dell Amministrazione certificante è (qualifica ex: Responsabile Area Amministrativa), previa designazione da parte del relativo Titolare a fini privacy. 4. Responsabile di trattamento per conto dell Amministrazione procedente è (qualifica ex: Responsabile Area Amministrativa), previa designazione da parte del relativo Titolare a fini privacy. 5. Gli incaricati di trattamento sono gli addetti dell unità organizzativa, interna all Ente o Comune, diretta da ciascuno dei suddetti Responsabili di trattamento. PUNTO 6) OBBLIGHI DEL FRUITORE PER L UTILIZZO DEI DATI Il fruitore dei dati (nonché, di conseguenza, Titolare del trattamento dei dati personali), dei documenti e/o del flusso di essi si impegna a quanto di seguito previsto: ad utilizzare i dati ed i documenti, sotto la propria responsabilità, all interno dei servizi e dei procedimenti attinenti i compiti istituzionali della propria Amministrazione nel rispetto della vigente normativa; per quanto concerne la privacy, ad osservare in generale quanto previsto dalla vigente normativa in relazione ai trattamenti oggetto della presente Convenzione. A tale scopo deve essere prestata una particolare attenzione, rispetto ai dati acquisiti, relativamente a: misure di sicurezza, oltre che dei trattamenti, anche della propria rete e delle proprie postazioni di lavoro, anche per quanto concerne sistemi di autorizzazione e di autenticazione; pertinenza e non eccedenza nel trattamento;
riservatezza: in tal senso il fruitore assicura che i predetti dati non siano divulgati, comunicati o ceduti a terzi, se non nei casi previsti dalla legge; accesso ai dati consentito, esclusivamente, a personale designato ed abilitato dal fruitore (quale responsabili e/o incaricati di trattamento) e preventivamente formato ed informato in materia; non utilizzare i dati oltre il tempo necessario ai fini istituzionali di cui alla presente Convenzione, provvedendo, quindi, a cancellare i dati ricevuti; non duplicare i dati ricevuti e non creare con essi autonome banche dati; adoperare i sistemi di accesso rientranti nella Convenzione, esclusivamente, per le finalità e con le modalità di cui alla presente; segnalare, tempestivamente, al Comune certificante ogni eventuale informazione che possa essere di interesse della stessa ai fini del corretto e legittimo trattamento di dati oggetto della presente Convenzione, con particolare rilievo ad eventuali problematiche o incidenti al proprio sistema informativo; si impegna a sottostare a richieste di informazioni o verifiche imposte dall erogatore. PUNTO 7) SICUREZZA DEL FLUSSO E DEI TRATTAMENTI 1. Al fine di garantire la sicurezza del trattamento dei dati, il Titolare deve accertarsi che la rete Infranet sia in grado di eseguire le seguenti funzioni fondamentali: Autenticazione: Autorizzazione: consente di verificare che l identità dell utente sia effettivamente quella dichiarata. Tramite varie forme di autenticazione (es. utente/password, CRS, VPN, ecc.), l applicazione ottiene le credenziali dall utente, le verifica e se sono valide verrà considerata un identità autentica. Limita i diritti d accesso concedendo o negando le autorizzazioni a un identità autenticata. E possibile concedere o negare l accesso anche in base al nome dell host o indirizzo IP di un utente. 2. A seguito della richiesta di autenticazione, se l utente è autorizzato la risorsa diventa disponibile. 3. Se l applicazione richiede lo scambio dati (es. applicazione lato client e lato server ) quest ultimo deve avvenire attraverso un file di interscambio la cui definizione contiene tutti gli elementi necessari alla creazione di un indice condiviso. PUNTO 8) VERIFICHE, CONTROLLO, CONSERVAZIONE E INCEDIBILITA DEI DATI 4. Il Comune erogatore deve far sì che sia consentita, per quanto possibile, la segmentazione dei dati visualizzabili, al fine di rendere consultabili esclusivamente i dati necessari rispetto alle finalità perseguite, secondo il profilo dell utente usufruitore. In altri termini, il Comune deve prevedere l accesso alle
sole informazioni pertinenti e non eccedenti rispetto alla finalità istituzionale perseguita dalla presente Convenzione. 5. Devono essere previste funzionalità di login che consentano di tracciare l utente od il ruolo dell utente che effettua l accesso. 6. Infine devono essere previsti dei controlli periodici da parte del Comune erogatore sugli accessi effettuati dal Comune fruitore, anche attraverso appositi strumenti di monitoraggio ed alert, i cui esiti devono essere documentati secondo modalità definite nell allegato tecnico della presente Convenzione. PUNTO 9) FACOLTÀ DELLE PARTI 1. L Amministrazione certificante, fatto salvo il diritto al risarcimento dei danni, si riserva la facoltà di risolvere la Convenzione qualora non vengano rispettate le modalità in essa prevista, in particolare per ciò che concerne quanto previsto nell Allegato tecnico alla presente Convenzione. 2. Le parti si riservano, ciascuna per quanto di rispettiva ragione, la possibilità di revocare e/o modificare la presente Convenzione, qualora subentrino disposizioni normative di legge, regolamentari e amministrative o direttive in materia di dati, incompatibili con quanto previsto nella Convenzione stessa. PUNTO 10) RAPPORTI CON IL GARANTE E L AUTORITÀ GIUDIZIARIA Il Supervisore dell Ente ricevente provvede a fornire ad ogni interessato dal trattamento o suo delegato le informazioni previste nell art. 13 del D.Lgs. 196/2003, nonché ad avvisare immediatamente il proprio Titolare del trattamento e il Comune certificante circa profili e problemi del trattamento qui preso in considerazione, ivi compresa ogni richiesta, ordine o attività di controllo da parte del Garante per la Privacy o di Autorità giudiziaria. 1. Nella fattispecie di richiesta, ordine o attività di controllo da parte del Garante per la Privacy o di Autorità giudiziaria, e fatta eccezione per il caso in cui il Comune certificante comunichi tempestivamente al Comune ricevente la propria volontà di promuovere opposizione nelle forme di rito, il Supervisore del Comune ricevente è tenuto ad eseguire gli ordini del Garante per la Privacy o dell Autorità giudiziaria di concerto col Comune certificante. PUNTO 11) AUTORIZZAZIONE AD AVVALERSI DI STRUTTURA INFORMATICA ESTERNA 1. L'Ente procedente, considerata l eventuale esigenza di avvalersi di personale specializzato o di apparati ad elevata connotazione tecnologica non disponibili presso l Ente, autorizza il proprio Responsabile ad affidare sotto propria responsabilità l esecuzione di operazioni di trattamento informatico a Società del settore che per esperienza, capacità ed affidabilità fornisca piena garanzia del totale rispetto delle norme, con particolare riguardo alla sicurezza dei dati. (nota: ciò solo se autorizzati attraverso una lettera d'incarico dove la società è responsabile esterno, ai sensi del D.lgs 196/2003).
2. È in ogni caso esclusa qualsiasi utilizzazione (e/o visualizzazione) dei dati da parte di tale affidatario: pertanto il Responsabile del Comune procedente dovrà convenire con esso adeguate misure tecniche per la protezioni dei dati. PUNTO 12) RINVIO ALLE VIGENTI LINEE GUIDA DIGITPA 1. Le parti convengono che, quanto previsto nelle vigenti Linee Guida di DigitPA in materia e non qui espressamente ripreso, è da considerarsi contenuto integrante della presente Convenzione. 2. Entrambe le parti si impegnano, pertanto, ad osservare, ai sensi del comma 1, quant altro previsto dalle vigenti Linee Guida DigitPA. PUNTO 13) CONTROVERSIE 1. Per le eventuali controversie attinenti alla presente convenzione le Parti in via preventiva possono definire mediante ulteriori precisazioni / interpretazioni, le questioni di conflitto, eventualmente anche mediante la richiesta di pareri all Autorità del Garante per la Privacy. 2. In caso di non raggiungimento dell accordo le controversie sono demandate al Foro di Brescia. PUNTO 14) NON REGISTRAZIONE DEL PRESENTE ATTO 1. La presente Convenzione, redatta in due copie originali, non è soggetta a registrazione ai sensi dell art. 1 della tabella allegata al D.P.R. 26 aprile 1986, n. 131.
Istruzioni per la redazione dell Allegato tecnico ALLEGATO ALLA CONVENZIONE 1 - Generalità Le istruzioni indicate nel presente documento fanno riferimento ai requisiti ed agli accorgimenti da tenere in considerazione nell ambito di una generica interazione per l accesso ai dati. Essi hanno una validità a prescindere dalla modalità tecnica di interazione scelta. Nell integrazione, a cura dell Amministrazione certificante, delle presente istruzioni è necessario fare riferimento alle vigente Linee Guida DigitPA. 2 Modalità di accesso In relazione alla finalità istituzionale perseguita e tenuto conto dell attuale quadro infrastrutturale disponibile sul territorio, si prevedono le seguenti opzioni tecniche per il trattamento dei dati: IV. Cooperazione applicativa: componente del sistema pubblico di connettività finalizzata all interazione tra i sistemi informatici delle pubbliche amministrazioni per garantire l integrazione dei metadati, delle informazioni e dei procedimenti amministrativi; in tale ambito si definisce il tracciato XML dei messaggi e le modalità di invocazione remota dei web services. V. Accesso via web: accesso attraverso il sito istituzionale dell amministrazione titolare dei dati o sito tematico predisposto per le finalità della presente convenzione; è auspicabile che le interazioni con le applicazioni web siano implementate con protocolli HTTPS/SSL attraverso l uso di certificati SSL. VI. Trasferimento file: servizio generalmente impiegato per realizzare trasferimenti di tipo massivo di informazioni o di documenti, in uno scenario di indisponibilità di analoghi servizi online, facente uso dei più comuni protocolli di file transfer ; è attuabile solo nel caso in cui è documentabile il vantaggio economico o la situazione infrastrutturale ed organizzativa non consente l adozione delle prime due modalità. VII. Posta elettronica certificata: solo quando la periodicità di acquisizione del dato è limitata (in linea di massima una o più volte all anno) e la quantità dei dati da acquisire è contenuta (nel limite massimo di 1MB), ovvero in caso di maggiore economicità della soluzione. Il modello di cooperazione applicativa come le applicazioni web, analogamente il trasferimento di file via FTP o il trasferimento di file via PEC devono prevedere l adozione di misure minime di sicurezza ed accorgimenti modulati secondo le specifiche caratteristiche della modalità tecnica adottata. 3 Contenuti Il presente allegato dovrà contenere almeno i seguenti punti: 1. le regole organizzative e tecniche per l accesso alla banca dati oggetto di convenzione, ovvero la descrizione dell infrastruttura tecnologica resa disponibile per l accesso ai dati, le modalità di fruizione dei dati e le regole di accesso;
2. descrizione dei flussi di dati; 3. i servizi forniti; 4. le regole minime di sicurezza; 5. i livelli di servizio e le modalità di assistenza; 6. la periodicità di aggiornamento dei dati; 7. il glossario, se necessario. 3.1 Descrizione dell infrastruttura tecnologica resa disponibile dal Comune Il Comune erogatore avvalendosi anche del contributo tecnico di una struttura informatica esterna deve definire e sviluppare l architettura di massima dell infranet le cui specifiche verranno riportate integralmente come allegato tecnico alla presente convenzione. In caso di applicazione Web, l Ente procedente non necessita di conoscere l infrastruttura di rete ma solo i requisiti minimi di servizio. 3.2 Descrizione dei flussi di dati Al fine di delimitare le informazioni condivise, solo nel caso in cui sia prevista la cooperazione applicativa tra gli Enti, il Titolare deve inserire un documento con le indicazioni relative alle specifiche funzionali, gli esempi di file XML e gli schemi XSD. 3.3 Servizi forniti In tale contesto, sulla base del tipo di dato e dei possibili utilizzi degli stessi da parte del Comune per i propri procedimenti, possono essere erogati i seguenti servizi: VIII. servizi di ricerca, che consentono di cercare e visualizzare informazioni in base al contenuto dei dati messi a disposizione dal Comune erogatore; IX. servizi di consultazione, che consentono di eseguire operazioni di visualizzazione e navigazione; X. servizi per lo scaricamento di dati, che permettono di trasferire copie di dati o parte di essi. 3.4 Regole minime di sicurezza Il Comune erogatore, per garantire le modalità di utilizzazione dei dati di cui al precedente Punto 4) della convenzione, dovrà dotare, anche parzialmente, il proprio sistema con le seguenti protezioni: - Protezione da accessi non autorizzati: controllo delle connessioni in ingresso ed in uscita dal sistema attraverso l uso di connessioni protette e dispositivi di controllo dedicati; - Integrità dei dati: proteggere il database e le informazioni scambiate dalle modifiche accidentali oppure effettuate da terzi;
- Auditing: monitoraggio delle attività svolte nel sistema analizzate con politiche e procedure stabilite a determinare la loro conformità; - Crittografare i dati sensibili: come previsto dall art. 22, comma 6, del D.Lgs 196/2003 nel caso di dati sensibili e giudiziari, il sistema deve prevedere l uso di tecniche di cifratura che rendono temporaneamente inintelligibili i dati anche a chi è autorizzato ad accedervi e permettono di identificare gli interessati solo in caso di necessità. 3.5 Livelli di servizio e modalità di assistenza Il Comune erogatore rende disponibili i dati, secondo predefiniti livelli di servizio, che tengono conto delle proprie esigenze, capacità elaborative e di una ragionevole previsione di soddisfacimento delle esigenze del Comune fruitore. I livelli di servizio devono specificare eventuali restrizioni, condizioni esterne, affinché risultino chiare le prestazioni che l infrastruttura messa a disposizione dal Comune erogatore è in grado di soddisfare. Il Comune erogatore ha l obbligo di informare in questa sezione i tempi previsti di interruzione programmata e ripristino del servizio. Deve essere inoltre inserita una nota informativa che indica la disponibilità e le modalità di attivazione del servizio di assistenza che il Comune Titolare dei dati è in grado di garantire al Comune fruitore del servizio. Anche qualora tale servizio di assistenza non sia disponibile, il Comune erogatore è tenuto ad indicare in questa sezione i recapiti di un referente tecnico cui il Comune usufruitore potrà rivolgersi in caso di malfunzionamenti nell accesso dei dati. 3.6 Periodicità di aggiornamento dei dati Il Comune erogatore provvede a definire i tempi limite di conservazione dei dati trattati alla luce delle finalità perseguite.
Letto, approvato e sottoscritto. IL SINDACO F.to Andrea Ratti IL SEGRETARIO GENERALE F.to Filippo Raco =================================================== Oggi 13/09/2012 la presente deliberazione Viene pubblicata all Albo pretorio per 15 giorni consecutivi e comunicata in elenco ai capigruppo consiliari. L INCARICATO F.to Giovanna Buccelli =================================================== C E R T I F I C A T O DI E S E C U T I V I T A La presente deliberazione è divenuta esecutiva ai sensi del 3 comma dell art. 134 del T.U. n. 267 del 18 agosto 2000. Orzinuovi, lì 08/10/2012 IL SEGRETARIO GENERALE F.to Dott. Filippo Raco =================================================== Per copia conforme all originale rilasciata in carta semplice per uso amministrativo. Orzinuovi, lì IL FUNZIONARIO INCARICATO